Die Anleitungen sind eigene Arbeitshilfen. Die Beispiele sind fiktiv und beschreiben kein Kundenprojekt. Sie sind keine vorgeschriebenen Vorlagen der ISO 27001. Passen Sie die Schritte an Ihr Unternehmen an.
1. Melden Sie die Beobachtung
Fiktives Beispiel: Eine beschäftigte Person hat einen unerwarteten E-Mail-Anhang geöffnet. Danach erscheint eine ungewöhnliche Meldung. Ob tatsächlich ein Angriff vorliegt, ist noch unklar.
Nutzen Sie den vereinbarten internen Meldeweg. Melden Sie Ihre Beobachtung, ohne selbst erst einen Angriff beweisen zu müssen. Benennen Sie Gerät, Zeitpunkt und bisherige Schritte. Die zuständige Person prüft, ob aus einem Ereignis ein Sicherheitsvorfall geworden ist.
Vorschlag für eine erste interne Meldung: „Ich habe einen unerwarteten Anhang geöffnet. Seitdem sehe ich eine ungewöhnliche Meldung. Betroffen ist mein Arbeitsnotebook. Den Zeitpunkt, den angezeigten Text und meine bisherigen Schritte habe ich notiert.“ Ergänzen Sie die tatsächlichen Angaben. Leiten Sie den verdächtigen Anhang nicht unaufgefordert weiter.
Diese Trennung zwischen Beobachtung und fachlicher Bewertung folgt der Grundidee von NIST SP 800-61, Revision 3. Der Meldetext ist eine eigene Arbeitshilfe.
2. Begrenzen Sie den Schaden abgestimmt
Für die zuständige IT oder Vorfallverantwortung: Prüfen Sie, welche Geräte, Konten und Dienste betroffen sein könnten. Begrenzen Sie weitere Zugriffe, etwa durch das Isolieren eines betroffenen Geräts oder das Sperren eines kompromittierten Kontos. Stimmen Sie die Maßnahme mit den betrieblichen Auswirkungen ab.
Für Beschäftigte: Arbeiten Sie auf dem verdächtigen Gerät nicht einfach weiter. Folgen Sie dem vorgesehenen Notfallablauf. Installieren Sie keine selbst gewählten Bereinigungsprogramme. Löschen Sie keine Dateien oder Meldungen auf Verdacht.
Die FTC empfiehlt, betroffene Systeme abzugrenzen und Beweismaterial zu erhalten. Ein Neustart, Ausschalten oder Zurücksetzen kann die Untersuchung beeinflussen. Lassen Sie die zuständige Fachperson entscheiden, soweit der festgelegte Notfallablauf nichts anderes vorgibt.
3. Benennen Sie eine verantwortliche Person
Legen Sie fest, wer die Bearbeitung koordiniert, wer technische Entscheidungen trifft und wer intern informiert. Die verantwortliche Person bezieht bei Bedarf Leitung, Datenschutzverantwortliche, Rechtsberatung oder externe Fachkräfte ein.
Prüfen Sie frühzeitig, ob gesetzliche oder vertragliche Meldungen nötig sind. Dafür sind der konkrete Vorfall und die für Ihr Unternehmen geltenden Regeln maßgeblich. Diese Anleitung legt keine Meldefrist fest. Nutzen Sie für die Abstimmung einen bekannten, vertrauenswürdigen Kanal, wenn E-Mail oder andere Kommunikationssysteme betroffen sein könnten.
Die Abstimmung von Zuständigkeiten und Kommunikation behandelt NIST SP 800-61, Revision 3. Die dortige US-amerikanische Einordnung ersetzt keine Prüfung deutscher oder europäischer Meldepflichten.
4. Halten Sie den Verlauf fest
Vorschlag für Ihr Vorfallprotokoll:
- Beobachtung mit Datum, Uhrzeit und meldender Person
- Bekannte betroffene Geräte, Konten und Informationen
- Getroffene Maßnahme mit Zeitpunkt und verantwortlicher Person
- Begründung wichtiger Entscheidungen
- Gesicherte Belege und deren geschützter Ablageort
- Offene Fragen, nächste Schritte und Zuständigkeiten
Trennen Sie bestätigte Tatsachen von Vermutungen. Bewahren Sie Belege nach dem dafür vorgesehenen Verfahren auf. Die NIST-Empfehlung zur Vorfallbearbeitung behandelt sowohl die Aufzeichnung von Maßnahmen als auch den Schutz der erhobenen Belege.
5. Stellen Sie den Betrieb kontrolliert wieder her
Die zuständigen Fachkräfte klären die Ursache und bereinigen die betroffenen Systeme. Prüfen Sie vor der Freigabe, ob die Wiederherstellung funktioniert und die Systeme wieder sicher genutzt werden können. Beobachten Sie den Betrieb danach weiter. Besprechen Sie anschließend, was den Vorfall oder seine Bearbeitung erschwert hat. Diese Schritte gehören zur Reaktion und Wiederherstellung nach NIST SP 800-61, Revision 3.
Ihr nächster Schritt: Spielen Sie den fiktiven Anhang-Fall als Besprechung durch. Findet jede beteiligte Person den Meldeweg? Ist die Vertretung bekannt? Wo würde das Protokoll liegen? Halten Sie fehlende Festlegungen als konkrete Aufgaben fest.
Quellen und Einordnung
- NIST SP 800-61, Revision 3, veröffentlicht im April 2025, abgerufen am 6. September 2026. Grundlage für Bewertung, Zuständigkeiten, Kommunikation, Dokumentation und Wiederherstellung. NIST steht für National Institute of Standards and Technology.
- FTC: Data Breach Response, abgerufen am 6. September 2026. Auf der abgerufenen Seite ist kein Veröffentlichungsdatum ausgewiesen. Verwendet werden die technischen Hinweise zur Begrenzung und Beweissicherung. FTC steht für Federal Trade Commission.
Beide Quellen stammen aus den USA. Diese Seite übernimmt daraus keine US-Meldepflichten. Das fiktive Beispiel, der Meldetext und die Protokollfelder sind eigene Arbeitshilfen; sie haben kein tatsächliches Ereignisdatum. Die Anleitung ersetzt keinen auf Ihr Unternehmen abgestimmten Notfallplan.